隐式授权流中的ID令牌与访问令牌
我想要一些关于如何在隐式授予流中使用ID令牌和访问令牌的澄清。我有一个使用msal.js for Angular包的Angular SPA和一个Web API。API不调用任何外部服务，如MSFT Graph。后端仅使用JWT中的角色声明来建立对API功能的RBAC授权。
这个文档写着：https://docs.microsoft.com/en-us/azure/active-directory/develope/id-tokens
示例后端根据发布它的应用程序的客户端ID验证ID令牌受众。
鉴于我们的API是令牌的唯一消费者，我们应该使用ID令牌还是访问令牌？
共有1个答案
一般来说，当使用Microsoft Identity platform保护API时，客户端在发出API请求时应该使用access令牌，而不是ID令牌。
-
我使用隐式授权流将Spotify API与AngularJS结合使用，但我不能使用access_token。 我以这种方式实现了隐性拨款流： 当我上网址时，我被很好地重定向到Spotify认证，但当我连接时，浏览器进入重定向循环：Spotify将我重定向到localhost/~mathieu这将我重定向到Spotify等… 我想在Spotify重定向我之后，我的脚本无法获取令牌，所以我再次被重定向
-
我想避开keycloak登录页面。我将这个“避免keycloak默认登录页面和使用项目登录页面”链接引用到“http://localhost:5555/auth/realms/master/protocol/openid-connect/token”链接，并能够使用post方法获得访问令牌。 在此步骤中获得访问令牌后，提到要传递以下头部 标题：{ 但是不清楚将访问令牌传递到哪里，响应是什么，请求类
-
我遇到了使用文档签名 API 的第一个障碍，需要一些帮助。 我将docusignrestapi集合导入到Postman中。我设置了iKey、iSec、encodedKeys和codeFromUrl变量。 当尝试发送'01-授权代码授予访问令牌'post API时，我每次都得到以下响应。 我尝试从Postman中删除所有内容，包括环境，并从DocuSign中删除该应用程序，然后重新开始，以便我的所有
-
定义的新集成密钥9xxx7e null 但仍然得到401的回应内容：
-
目前在我的团队的web应用程序中，我们在一个名为Auth:“dfdfdf ...”的头中传递访问令牌.我们使用AWS Lambda和令牌授权器来访问我们的API网关资源。 还有一种不同类型的承载令牌头：授权：承载：通过Javascript发送授权令牌承载 区别是专有/命名，还是亚马逊的令牌授权人在功能上与承载令牌模式不同？
-
我已经阅读了JWT和访问令牌和刷新令牌。我知道您必须在很短的时间（分钟）内设置访问令牌过期，并在过期时使用刷新令牌获取新的访问令牌。 我不清楚三件事： 谁检查访问令牌是否过期？客户端是否通过发送过期的访问令牌和刷新来检查并请求新的访问代码？ 谁检查刷新令牌是否过期？（显然刷新令牌也需要过期，尽管需要更长的时间才能过期）。 在我看来，如果刷新令牌过期，则必须提示用户重新登录。在某些情况下（移动应用）